2. 资产测绘与漏洞管理范围界定
漏洞管理的第一道工程难题不是“怎么修”，而是“修什么、先修谁”。如果连组织到底有哪些主机、哪些服务、哪些对外接口、哪些数据资产都不清楚，后续的扫描、评级、修复、复测都会失去基准。资产测绘（Asset Mapping）就是为漏洞管理建立一张可追踪、可归属、可分级、可更新的“底图”。这张底图决定了漏洞管理的边界：哪些资产纳入统一治理，哪些资产只做监控，哪些资产暂不纳入但需登记风险。
一、资产发现：从“已知清单”走向“可验证清单”
资产发现不是简单地把 CMDB 导出成 Excel。CMDB 记录的是“应该存在”的资产，而漏洞管理需要的是“实际存在且可被触达”的资产。两者之间的差异，正是风险藏身之处。工程上通常采用三条互补路径：
- 主动探测：通过 ICMP、TCP SYN、ARP、SNMP、NetBIOS 等协议对网段进行存活与端口探测，识别 IP、开放端口、操作系统指纹、服务 Banner。
- 被动流量分析：在核心交换机镜像口或云 VPC 流日志中采集 NetFlow/IPFIX，识别通信对端、协议、端口，发现未登记但正在通信的资产。
- 接口与云平台同步：从 VMware vCenter、Kubernetes API、阿里云/腾讯云/AWS 资源接口、AD 域控、DNS 区域文件拉取资产元数据，补齐主机名、负责人、业务系统、环境标签。
三条路径的结果需要做“归一化合并”：以 IP+MAC 或云实例 ID 为主键，把同一资产的多源记录合并为一条主记录，并标记“来源”和“最后发现时间”。例如某台主机在 CMDB 中登记为 app-prod-07 / 10.20.3.17，但被动流量发现它同时监听 8080 和 9090，而 CMDB 只登记了 8080，那么 9090 就是一个“未登记暴露面”，必须进入待确认队列。
二、资产分类与归属：让每个资产都有“责任人”
分类的目的是把资产放进可管理的语义桶里。常见分类维度包括：资产类型（物理主机、虚拟机、容器、网络设备、安全设备、数据库、中间件、API、域名、证书、代码仓库）、业务系统、运行环境（生产/预发/测试/办公）、暴露面（互联网暴露/内网/隔离区）、数据敏感级别。分类不是越细越好，而是要与后续的扫描策略、修复 SLA、审批流程直接挂钩。
归属比分类更容易被忽视。一个资产如果没有明确的责任人（Owner），漏洞工单就会在“这不是我负责的”之间反复流转。归属信息至少应包含：业务负责人、技术负责人、运维团队、所属业务系统、成本中心。对于云上资产，还要记录云账号、资源标签、安全组归属。归属信息应作为资产主记录的必填字段，缺失时资产状态标记为“待认领”，并触发认领流程。
三、重要性分级：把修复资源投向真正重要的资产
重要性分级（Criticality Rating）是漏洞优先级策略的输入。它回答的是：同样一个 CVSS 9.8 的漏洞，落在核心交易数据库和落在测试用跳板机上，处理顺序是否相同？答案显然是否定的。分级通常综合以下因素：
- 业务影响：资产中断是否影响营收、客户、合规、声誉。
- 数据敏感度：是否存储或处理个人隐私、支付、健康、商业秘密数据。
- 暴露程度：是否直接面向互联网，是否可被未认证访问。
- 可替代性：是否有冗余、能否快速切换、恢复时间目标（RTO）多长。
- 合规约束：是否属于等保三级、PCI DSS、关键信息基础设施范围。
一个可落地的做法是采用 1～4 级分级：L1 核心（不可中断、强合规）、L2 重要（影响业务但可短时降级）、L3 一般（内部支撑）、L4 低（测试、临时、个人设备）。分级结果应写入资产主记录，并随业务变化定期复核，而不是一次定终身。
四、确定漏洞管理边界与优先级策略
边界界定要明确三件事：纳入范围（哪些资产必须扫描、必须修复、必须复测）、观察范围（哪些资产只做发现和登记，不强制修复）、排除范围（哪些资产明确不纳入，但需记录排除理由和审批人）。例如：生产环境 L1/L2 资产全部纳入强制修复；办公终端纳入扫描但修复 SLA 放宽；实验室离线设备登记但不扫描；个人自带设备（BYOD）不纳入。排除项必须有到期时间和复核机制，防止“永久豁免”变成风险黑洞。
优先级策略则是把“资产重要性”和“漏洞严重性”做二维交叉。下面这张图展示了从资产发现到优先级输出的完整数据流与判定关系，其中资产分级与漏洞评级的交叉决定了工单的处置时限。
矩阵中的时限是示例策略，实际取值应结合组织修复能力、变更窗口和合规要求调整。关键点在于：优先级不是漏洞扫描器给出的 CVSS 分数，而是资产重要性与漏洞严重性的联合函数。一个 L1 资产上的中危漏洞，可能比 L4 资产上的严重漏洞更值得先处理。
五、落地要点与常见陷阱
资产测绘不是一次性项目，而是持续运营。建议把资产主记录的更新频率与扫描周期绑定：每次扫描前先做一轮存活与端口比对，发现新增或消失的资产自动更新状态。对于“未登记但存活”的资产，应设置专门的发现告警，而不是默默忽略。
最后，边界界定和优先级策略应形成书面文件，并明确审批人、生效日期、复核周期。资产测绘的产出不是一张静态清单，而是一套可查询、可追溯、可审计的资产台账，它直接决定了漏洞管理能否从“扫到什么修什么”升级为“按风险优先级有序治理”。